Polkadot 的 138 万美元 XCM 损失：DOT 与 dotUSD 持有人该查什么
简短回答 Polkadot 的 XCM 事件复盘估计，2026 年 10 月 24 日至 26 日，Asset Hub 上的 DOT/dotUSD 池损失约 138.1 万美元的 DOT 价值。复盘称，当时财库是池中唯一流动性提供者，没有用户损失资金；但 dotUSD 记账发行量被压低，纠正前赎回能力受到限制。因此，钱包余额没有变化，并不能完整说明持有人的操作是否受影响。
原帖发布于 11 月 3 日新加坡时间，11 月 5 日又获新闻报道。本文分析已经披露的事件，不把它写成今天新发生的攻击。读者应查自己持有的资产、网络、交易池及当前转账路径。来源：Polkadot 事件复盘。
收起完整分析
损失数字对应哪一部分资金 复盘中的估算是约 138.1 万美元的 DOT 价值，范围是 Polkadot Asset Hub 的 DOT/dotUSD 池。当时只有财库为这个池提供流动性。标题若缩短成约 138 万美元，正文仍应把资产、池和时期写清，不能扩展为所有 DOT 用户的损失。
PANews 在 11 月 5 日报道同一估算，并说明财库是唯一流动性提供者，以及后续运行时修复情况。来源：PANews 报道。
Odaily 也报道了约 138.1 万美元及 10 月 24 日至 26 日的窗口。两家报道都指向论坛复盘，不能把它们当成两次独立链上损失计算。来源：Odaily 报道。
原帖还保留一个关键未知：现有链上证据没有确立利用 XCM 漏洞的一方，是否也从后续套利获利。因此，不能把财库估计损失直接写成某个已确认攻击者的到手利润。损失范围与获利归属需要分别说明。
为什么余额没少，池里的价格却错了 问题涉及个人账户余额与系统记账总发行量之间的关系。原帖说，攻击者构造的程序发生错误后，账户扣款会回滚，记账总供应量的相应减少却被保留。重复执行后，总发行量记录下降，各账户持有的 dotUSD 数量没有同时下降。
正常情况下，系统记账发行量应等于所有账户余额之和。攻击破坏了这个关系。用户只看钱包里的代币数量，可能看不到影响交易池定价的记账差异。这也解释了为什么“个人余额不变”与“财库流动性头寸出现损失”能够同时成立。
该池以池内实际余额与资产记账供应量两者中的较小值，限制被视为可用的 dotUSD。记账供应量跌到实际余额以下后，价格受到扭曲，产生以异常比率把 dotUSD 换成 DOT 的机会。原帖并没有说所有交易所的 DOT 余额都被改写。
对持有人，下一步应识别报价究竟来自哪个池、哪个兑换或赎回路径。余额、兑换报价、赎回界面分别回答不同问题。准备执行时，应获取自己计划交易数量对应的当前报价，不能照搬事件发生时的截图。
足额支持不等于赎回能力无限 复盘说，事件期间 dotUSD 始终有足额支持，价格稳定模块继续支持 dotUSD 与 USDT 按一比一进行铸造和赎回。同一份复盘也说，偏低的记账发行量在修复前限制了赎回能力。报道这件事，需要保留这两个层面的信息。
足额支持描述资产支持情况，赎回能力描述当时操作能够处理的范围。持有人要执行赎回，仍应查看实际路径显示的条件，不能只凭足额支持一句话推定任何数量都能立即完成。
此次来源没有提供某位读者当下的成交报价，也没有证实每家交易所支持 dotUSD 充值。因此，本文的一比一只用于解释复盘中的机制，不是当前可执行报价，更不是对某个账户权限的确认。
六月已有代码修复，为何十月仍出事 漏洞在 2026 年 6 月通过 Parity 漏洞赏金计划报告。复盘称，代码库随后完成修复，但错过 stable-2606 发布截止点，没有进入受影响的生产运行时，之后纳入 stable-2609。事件前定级为中等，事后改为严重。
持有人看到“已经修复”时，应问清指的是代码合入，还是链上运行版本已经升级。两个时间点分别记录，才知道某笔操作所处的阶段。开发记录不能单独证明当时生产网络已经运行修正版。
原帖还说，Parity 在 10 月 20 日注意到论坛公开评论提及相关修复。Parity 判断，这可能为攻击者提供识别漏洞的线索。这里只能保留“可能”的程度，不能把评论写成攻击的已证实原因，也不能据此指认某人就是攻击者。
从临时遏制到供应量纠正 10 月 24 日，生态合作方报告可疑活动，调查者在数小时内复现问题。Snowfork 暂停自己的共识中继器，延迟攻击者后续消息，暂时阻止了攻击。
包含 XCM 修复的运行时 2.5.1 在 10 月 24 日提交。10 月 26 日，攻击者使用自己的共识中继器恢复活动，距离升级链上生效约六小时。升级后，响应方通过交易救出剩余池流动性，DOT/dotUSD 池只剩很少流动性。
运行时 2.5.2 在 10 月 30 日获批并生效，以现有账户余额纠正 dotUSD 记账供应量，没有改变各账户余额。原帖称，追回的 dotUSD 已返还财库；它没有把这项返还写成全部 DOT 价值损失已弥补。
攻击消息经 Snowbridge 从以太坊到达，但原帖把底层漏洞定位于 XCM 执行器，并称不通过桥也可复现。不能把消息经过的路径，自动写成存在记账漏洞的组件。
转账或兑换前的检查顺序 先确认自己准备做的是交易所充值、提现、DOT/dotUSD 池兑换，还是 dotUSD 赎回，再查看对应资产、网络与目的地。历史事件复盘无法代替某家交易所当前账户的充值权限。
如果 DOT 放在 OKX，可在该账户的充值或提现界面查看 DOT 网络与当前状态，保存待处理转账的参考记录，并与平台显示的操作相互核对。这是要求读者执行的检查，不代表本文已经证实该路径此刻开放或关闭。
如果使用交易池，确认是复盘点名的池，再对自己准备兑换的数量获取新报价。原帖提到剩余流动性已被救出，所以事件前报价不能继续当成执行依据。赎回则应另查该路径显示的容量和条件。
本站的 资金费率页面与清算页面观察的是其他市场情况。本文没有打开当前 DOT 市场快照，因此不据此推断本次事件引发价格、费率或清算变化。已核实损失仍只对应复盘指定的池与时间范围。
Parity 承诺改什么 复盘承认，六月合并的修复没有进入受影响的生产运行时；dotUSD 上线后，同一漏洞的潜在影响也变了。原先按中等严重性评估，当时没有考虑尚未推出的 dotUSD，也没有考虑对 OpenGov 的影响；事件后才改定为严重。
Parity 提出三项流程改进：功能之间相互影响时重新评估安全发现；更全面地测试 XCM 失败情形及其在系统内的后果；核实修复确实进入已部署的运行时。监测方面，复盘说会更早发现资产发行量的异常变化，并制定更清楚的应急流程。
这些是团队写下的计划，复盘没有给出完成日期，不能写成已经完成的外部审计。对持有人，值得跟进的是这些措施有没有带日期的部署或测试记录。
尚未确立的事实 此次打开的来源没有给出 XCM 利用者已核实的净利润，本文也没有逐笔重建损失或测量当前池深度。各交易所的实时资产状态没有在复盘中统一列出，不能据它推定所有 DOT、dotUSD 操作现在都已恢复。
原帖早于 11 月 5 日聚合报道，漏洞利用发生在 10 月。若要报道 11 月 5 日的新攻击，需要新的日期明确的活动来源，不能把新闻再传播时间当成新的利用时间。